1. 多租户网络基础

1.1 多租户概念与核心特征

多租户（Multi-Tenancy）是一种软件架构模式，指单个软件实例或基础设施集群同时服务于多个独立用户群体（即“租户”）。每个租户在逻辑上完全隔离，彼此不可见，且各自拥有独立的资源视图、配置权限与数据空间。

1.2 网络隔离需求分析

不同租户的业务敏感度与合规要求差异巨大，网络隔离需覆盖以下维度：

• L2 隔离：防止广播域扩散，避免租户间 ARP 攻击或 MAC 欺骗。常用技术：VLAN、VXLAN、GENEVE。
• L3 隔离：路由表独立，租户 IP 地址可重叠（如两个租户都使用 10.0.0.0/16）。常用技术：VRF、VPC。
• 安全隔离：东西向流量必须经过防火墙或安全组策略，禁止租户间直接通信。
• 性能隔离：防止“吵闹邻居”抢占带宽或连接数。常用技术：QoS 队列、带宽限速、连接数限制。
• 故障隔离：单个租户的网络故障（如路由环路、ARP 风暴）不应扩散到其他租户。

1.3 租户与网络资源的映射关系

将租户抽象为逻辑容器，网络资源按以下层次映射到租户：

1. 租户 ID → VPC/虚拟网络：每个租户至少拥有一个独立 VPC，VPC 是网络隔离的基本单元。
2. VPC → 子网 + 路由表：VPC 内可划分多个子网，每个子网关联独立路由表和安全策略。
3. 子网 → 虚拟网卡（vNIC）：租户的虚拟机/容器通过 vNIC 接入子网，vNIC 绑定租户 ID。
4. vNIC → 物理端口/隧道：底层通过 Overlay 隧道（VXLAN/GENEVE）将 vNIC 流量封装并转发到对应物理主机。

1.4 多租户网络拓扑抽象模型

下图展示了一个典型的多租户 Overlay 网络拓扑，包含两个租户（Tenant A 和 Tenant B），各自拥有独立的 VPC 和子网，共享同一套物理 Underlay 网络。

1.5 映射关系实现要点

在实际系统中，租户与网络资源的映射通过以下机制落地：

• 控制面：使用分布式数据库（如 etcd）或 SDN 控制器维护租户 ID → VNI → VRF 的映射表。
• 数据面：Overlay 封装头部携带 VNI，VTEP 根据 VNI 将报文转发到对应 VRF 实例。
• 策略面：安全组规则、QoS 策略、路由策略均绑定租户 ID，确保策略作用域不越界。

1.6 多租户网络隔离技术对比

选择隔离技术时，需综合考虑租户规模、地址规划、性能开销与运维复杂度。在云原生环境中，VXLAN + VRF 的组合已成为主流方案。